L'exfiltration DNS consiste à faire sortir des données d'un réseau en les encodant directement dans des requêtes de résolution de noms. Le principe tient à une particularité que presque tous les pare-feux partagent : le DNS sortant est autorisé par défaut, considéré comme un flux de confiance, et ne transite pas par les mêmes contrôles qu'une connexion web classique. La technique est documentée depuis plus de quinze ans et reste activement utilisée par des groupes APT.
Comment ça fonctionne, techniquement
fragment.domaine-attaquant.tld, une requête DNS normale en apparence.Le débit obtenu est faible, de l'ordre de quelques kilo-octets par seconde au mieux — largement suffisant pour des identifiants, des clés ou de courts secrets, beaucoup moins pratique pour de gros volumes : exfiltrer 1 Go avec des fragments de 100 caractères en hexadécimal demande plus de 21 millions de requêtes. Pour un canal de retour (commandes vers la machine compromise), l'attaquant utilise des enregistrements TXT ou NULL, capables de transporter du contenu dans la réponse : on parle alors de tunnel DNS, utilisé comme canal de commande et contrôle (C2).
Qui utilise cette technique
Dans la classification MITRE ATT&CK, ces techniques se répartissent entre Command & Control (T1071.004, Application Layer Protocol: DNS ; T1572, Protocol Tunneling) et Exfiltration (T1048, Exfiltration Over Alternative Protocol) — elles interviennent donc après que l'attaquant s'est déjà implanté dans le réseau. Les groupes APT32 (OceanLotus), OilRig (APT34) et Storm-2603 figurent parmi les utilisateurs documentés de cette approche.
Pourquoi c'est difficile à repérer
Comment détecter une exfiltration DNS
La détection repose sur la corrélation de plusieurs signaux, à partir d'une source de journalisation fiable — le journal DNS Analytical des contrôleurs de domaine Windows, l'événement Sysmon 22 (DnsQuery, qui identifie le processus à l'origine de la requête), le query log de BIND ou Unbound, ou un export vers un SIEM comme Splunk, Elastic ou Sentinel. Les signaux les plus révélateurs : un volume anormal de requêtes d'un même poste vers un même domaine, un nombre élevé de sous-domaines uniques sous un même domaine racine, une longueur de sous-domaine inhabituelle, une entropie élevée (l'aspect « aléatoire » d'une chaîne encodée), ou un pic soudain de requêtes TXT, NULL ou MX depuis un poste de travail classique.
Comment bloquer ce canal
Aucun contrôle isolé ne suffit : c'est la combinaison d'un flux sortant canalisé, d'un filtrage par réputation et d'une supervision comportementale qui ferme réellement ce canal. Vous voulez savoir si votre infrastructure actuelle laisserait passer ce type de trafic sans le détecter ? Parlons-en.